セキュリティ対策を制作会社に任せる場合も、会社側が何を委託し、事故時にどう動くかを理解する必要があります。作業内容と責任の境界を具体化しましょう。
Webサイトのセキュリティ保守を外注するときの確認項目について、申込や依頼の前に確認しておきたい項目を整理しました。条件を一つずつ照合して、納得できる選択につなげましょう。
図の項目を使い、候補ごとの回答を同じ条件で記録してください。不明点を残したまま進めず、追加費用・契約条件・利用後のサポートまで確認してから最終判断します。
01守る対象と委託範囲を洗い出す
サイトのCMS、サーバー、ドメイン、フォーム、外部連携、管理端末などを一覧にします。監視、更新、バックアップ、脆弱性情報の確認、問い合わせ窓口のどれを委託するかを分けます。IPAの中小企業向けガイドラインを参考に、自社で残す責任者と判断事項を決めます。
- サイト・サーバー・フォームの資産一覧
- 委託する作業と自社で行う作業
- 定期確認の頻度と記録
- 担当者不在時の連絡先
02権限と外部委託先を管理する
委託先に管理者権限を与える場合は、個人別アカウント、必要最小限の権限、二要素認証の可否、作業ログを確認します。再委託がある場合は作業主体と問い合わせ窓口を把握し、契約終了時に権限を回収する手順を決めます。
- 個人別アカウントと権限
- 認証・ログ・変更通知
- 再委託先と責任者
- 終了時のアカウント停止
03事故の初動と復旧を具体化する
不審な改ざんやフォーム流出が疑われた場合の連絡先、証拠保全、サイト停止の判断者、復旧手順を決めます。バックアップの保管だけでなく、復元テストと費用、原因調査の範囲を確認します。個人情報が含まれる場合は、法令上の対応判断を専門窓口へ相談します。
- 連絡先・初動の受付時間
- 停止・告知の判断責任者
- 復元テストと費用条件
- 事故報告・原因調査の範囲
まとめ
セキュリティ保守は、作業名だけでなく対象資産、権限、事故時の初動、復旧、再委託を確認します。自社内の責任者を決め、契約と運用台帳を一致させましょう。
相談・比較前の確認リスト
- 保護対象と委託範囲を一覧化
- 権限と再委託を管理
- 事故時の初動を決定
- バックアップの復元を確認
公式情報・参考資料
制度や契約条件の適用は、個別の契約・状況によって異なります。詳細は最新の公式案内をご確認ください。
記事確認日：2026年9月27日
予定と成果を、測れる項目に分けてみよう。